Beim Qubic Diebstahl wurden Wallets von über 1.400 Konten geleert, die Beute liegt bei rund 1,4 Mio. US-Dollar. Das Projekt hat sein Netzwerk angehalten.
Qubic friert Netzwerk nach Diebstahl ein
Am Sonntag, 18. Oktober 2026, traf der Qubic Diebstahl Wallets von mehr als 1.400 Konten, das Projekt hielt daraufhin sein gesamtes Netzwerk an. Die Beute beträgt nach Projektangaben rund 2,94 Billionen QU, umgerechnet etwa 1,4 Mio. US-Dollar.
Der Stopp erfolgte bei Tick 85.371.949, so heißt bei Qubic ein Verarbeitungsschritt der Chain. Seitdem laufen keine Transaktionen mehr. Einen Termin für den Neustart nennt das Team nicht.
Laut Qubic haben 87,1 % der gestohlenen Mittel das Netzwerk nie verlassen. Durch den Stopp liegen sie eingefroren auf der Chain.
Angreifer leert 1.400 Wallets mit schwachen Wiederherstellungsphrasen
Ursache war nach Projektangaben eine fehlerhafte Erzeugung der Seeds, also der Wiederherstellungsphrasen, aus denen sich die privaten Schlüssel ableiten. Die Web-Wallet nutzte dafür die JavaScript-Funktion Math.random(), die nicht für kryptografische Geheimnisse gedacht ist und vorhersagbare Werte liefern kann.
Betroffen sind Seeds, die in einem beliebigen Browser auf iPhone oder iPad, in Safari auf dem Mac bis zum 18. Oktober 2026 oder in der Qubic-App für iOS vor Juli 2025 erstellt wurden. Der Angreifer konnte diese schwachen Wiederherstellungsphrasen offenbar nachrechnen und so beim Qubic Diebstahl Wallets gezielt leeren.
Mit Version 4.26.4 der Web-Wallet ersetzte das Team die Funktion durch crypto.getRandomValues(), einen kryptografisch sicheren Zufallsgenerator. Der Code liegt offen im GitHub-Repository des Projekts. Einen vollständigen technischen Bericht will Qubic erst nach Einigung auf einen Wiederherstellungsplan veröffentlichen.
Börse MEXC friert Rest der gestohlenen Gelder ein
Die übrigen 12,9 % schickte der Angreifer an die Handelsplattform MEXC. Deren Team sperrte das Empfängerkonto nach Qubic-Angaben innerhalb von rund einer Stunde. Über das weitere Vorgehen stimmen nun die Computors ab, die Validatoren des Netzwerks. Das Kernteam bereitet dafür Optionen zur Rückerstattung vor.
Für die Geschädigten ist das eine Chance auf Rückerstattung. Zugleich zeigt der Fall zwei Eingriffspunkte: eine kleine Gruppe von Validatoren, die die Chain anhalten kann, und eine zentrale Börse, die Gelder auf Zuruf sperrt. Transaktionen auf Qubic sind damit nur so endgültig, wie diese Akteure es zulassen.
Der Qubic Diebstahl traf Wallets mit vorhersagbaren Seeds und geht auf einen Softwarefehler zurück, nicht auf eine Schwäche des Protokolls. Offen ist, ob die Computors eine Rückabwicklung beschließen und wann das Netzwerk wieder läuft.
Bei Bitcoin gibt es keine Instanz, die die Chain anhalten kann, und damit auch keine, die Diebesgut zurückholt. Die Sicherheit einer Wallet hängt dort allein an der Qualität ihres Zufallsgenerators.
Wir berichteten über Warnungen der EU-Aufsicht zu kryptografischen Risiken für Blockchains.
